XPayr elimina el riesgo de saldo de contraparte al no retener jamás fondos de comercios ni claves privadas. Cada pago, webhook, licencia de software e intención de agente de IA está respaldado por pruebas criptográficas públicamente verificables.
El 99.5% de cada pago confirmado se enruta directamente en cadena a la billetera de destino del comercio mientras el 0.5% va a XPayr. Nunca se confía en callbacks del navegador sin verificación RPC independiente del recibo en cadena.
Cada carga útil de webhook se firma con un secreto de 32 bytes específico del comercio en X-XPayr-Signature, junto con IDs de evento deterministas para un procesamiento idempotente de pedidos.
Las licencias de software y extensiones vinculadas a billetera emiten JWT ES256 de corta duración verificables sin conexión contra /.well-known/jwks.json (kid: lk-c3a9478746f1) mediante @xpayr/extension-kit (v0.2.0).
Verifique de forma independiente el ID de cadena, contrato del token, importe transferido, billetera receptora y finalidad de bloque con el paquete de código abierto @xpayr/payment-evidence (v0.2.0).
Los agentes de IA se autentican con credenciales acotadas agk_ sujetas a topes por transacción, límites diarios móviles, listas blancas de redes y una cola de aprobación con supervisión humana.
Política publicada de contacto de vulnerabilidades en /.well-known/security.txt, cabeceras TLS 1.3 + HSTS preload, uso compartido de secretos SafeShare y revisión estructurada de cumplimiento para verticales regulados.
Nunca. XPayr es 100% no custodial. Los comercios proporcionan únicamente direcciones públicas de billetera de destino, y los clientes firman las transacciones directamente en sus propias billeteras o envían desde exchanges.
Cada webhook incluye una cabecera X-XPayr-Signature HMAC-SHA256 calculada con el secreto de 32 bytes de su endpoint. Cada JWT de licencia de software se firma con ES256 (P-256) y es verificable sin conexión frente a https://xpayr.com/.well-known/jwks.json.
Los investigadores de seguridad pueden consultar nuestra política de divulgación legible por máquina en https://xpayr.com/.well-known/security.txt e informar hallazgos directamente mediante SafeShare y nuestros canales de contacto de seguridad.